|
|
|
WMIACPI.SYS " I" w6 r. d& p7 U$ h
1. WMI Concept6 f. l" | F/ `6 p: [
% Q, \8 {% l( `! v# X' s$ hWMI全称Windows Management Instrumentation是一种管理计算机系统的方式。它是微软基于WBEM的实现，WMI希望为系统管理以及分布式数据描述提供一种模型，并且允许使用基于COM的user mode API对系统部件进行访问、管理、控制。
3 u$ ]" A: {) v- B; P
2 X* d2 Q* R) C2 S* N3 K0 h! Y2 A+ z/ |# A
2. WMIACPI.SYS" B$ h" l( `% b4 w4 }8 P8 x
, C, M, {# F$ x% k4 J( m( U
Wmiacpi.sys 是微软提供的一只generic mapping driver它的Plug and Play ID为 PNP0c14.，ACPI包含丰富的系统信息，OEM厂商可以利用这支mapping driver定制平台相关的功能而且允许使用WMI获取，如此便可以在单机或者在网络环境中获得平台的特定信息。关于如何在BIOS、OS中定制wmiacpi，bini已经给出了非常详细的讲解，有兴趣可以参考bini的文章。在这里我会讲解一下原理部分。ACPI-to-WMI mapping function是通过下述两只driver达成的：
, v- z1 R/ q/ }& }3 GA．Acpi.sys
0 L6 z2 J; o/ |% f1 K# S3 c- wB．Wmiacpi.sys
, H/ P) n$ [+ i% [& t5 G4 NA).Acpi.sys的一个主要功能是解释和执行aml,而aml就是asl code的机器码，所以ACPI asl code真正的执行是由acpi.sys触发的，而不是BIOS主动执行的。它的另一个功能就是查找ACPI spec定义的device Plug and Play ID，并据此创建相应的software device后续OS会为这些device加载对应driver。如power button driver，battery driver，lid driver，fan driver等等。Device 对应的Plug and Play ID可以查阅ACPI spec获得。, t' E* l2 f; R. a* j2 ]9 {8 J( |
B).Wmiacpi.sys它的Plug and Play ID为PNP0c14,一旦BIOS 在asl code给出定义,acpi.sys就会创建这个pseudo device，OS就会load wmiacpi.sys作为该device的driver。当然仅仅加载这支driver还是不够的，为了能够使用WMI访问该software device包含的具体信息我们还需要一个供BIOS使用的asl文件以及与asl code对应的MOF文件而微软并没有提供Wmiacpi.sys相关的MOF文件。那么MOF文件到底有什么作用呢？要搞明白这一点我们来研究一下WMI的工作原理了，下图1展示了WMI Architecture：
$ I: I1 F' g/ w# ^ T" a: v4 b o3 Y9 B6 C- L% X. a1 c
( L) f2 ~7 N0 ~' W
. c* Y" R% _( I' P/ a( h1 P) w
当user使用API访问WMI信息时，WMI CORE会查看repository中已知的scheme定义，然后将希望获得的信息通过IRP的形式送给Providers这些Providers通常都是WMI Driver，它们处理IRP并将所需信息送给上层。那么也就是说必须要将MOF scheme加到WMI repository之中，consumer 才可能透过WMI COM API访问到。完整的过程是这样的OS在加载WMI驱动程序的时候会查看驱动程序的MOF scheme，如果驱动程序MOF scheme 部分正确无误，那么OS会将MOF scheme提取出来并自动加入到repository之中。所以OS仅仅加载wmiacpi.sys并不行，我们还需要给出与ACPI asl code对应的MOF scheme，并且通过在WMIACPI service key 下面建立一个key MofImagePath它的value指向MOF档的路径。如此在OS加载wmiacpi.sys时就会将对应的MOF scheme加入到repository之中，后续consumer访问时WMI CORE就会检索到scheme信息，然后下IRP给wmiacpi.sys。讲到这里原理应该差不多了但还要注意的是wmiacpi.sys并不会去执行asl code，最终执行动作还是会由acpi.sys发动。driver是层次结构的，acpi.sys是wmiacpi.sys的lower driver，wmiacpi.sys会将上层对asl的访问转化为low level IRP 送给acpi.sys，acpi.sys再返回具体信息然后逐级回送。
7 Q0 B7 L1 }# j0 Y8 p
- w- Q8 _& b8 }" P: |3. Under the hood C8 ~+ z3 F: p6 \" Y5 s; _
/ i$ z6 w8 ]7 A5 \2 @3 g前面都是原理的介绍，讲的我都快吐血了J,实践是检验理论的唯一标准。说不如做，随我揭开内幕一探究竟。WDK ver6000 src带了一个wmiacpi的samplecode，build之后会生成一只acpimof.dll，在BIOS里面将device.asl包进去然后再注册表中加入acpimof.dll的信息然后重启。讲到这里还要提到一个验证wmi的好工具叫做WMICodeCreator.exe微软的网站上有下载，下面我们就使用该tool验证前面的说法，下图2演示了我们定制wmiacpi之后的状况：
2 V3 z: L0 x$ h3 v2 ?
2 Y1 L' A2 O* u8 y3 v: q: b/ r" s* L% Q' ]% z
7 u: B. W4 e; y/ T6 U# t
图 2 & l! z7 A) x+ n% ^
图2红色方框标注的AcpiTest_**就是我们定制的WMI class。也就是OS Load wmiacpi.sys之后将其MOF档案解析出来并加入到WMI repository于是我们就看到了上图的信息。下面我们来跟踪一下访问具体的class的情况吧，祭出WinDbg，let’s go！首先查看一下wmiacpi.sys这支driver有没有被加载下图3表明该driver被正常加载了。8 c2 L2 @$ B% d8 ` l
/ h' w6 t- c( z8 h# t7 m& @* q
$ h& M7 p5 Y, i, L! L0 O6 s- a( [; i图3
6 n( P# [/ l+ x* j- T由图3显示与wmi相关的有两个driver:wmilib.sys和wmiacpi.sys,wmilib.sys是干嘛的呢？别急后续讲述wmi driver的文章会详细介绍它。既然被加载了那我们就要dump wmiacpi.sys的symbol看看有哪些有用的信息，这样我们才比较容易下手J。下图4显示了wmiacpi.sys的所有symbol。+ s+ u) ^3 T8 ~6 J7 t0 a. s
6 m3 H' U* H) u& }$ B/ T; E& s' R* _, ?5 Q- M" ~* j* U j# Y8 P
图4 . g/ Q) i2 t' P) l5 r; t
前面我们还讲到wmiacpi.sys最终会调用到acpi.sys访问asl code那我们再看一看acpi.sys有哪些symbol，下图5显示了acpi.sys的所有symbol：
4 Q$ x2 A" O5 l1 b# \
& q; u& G' K } u- d# H. x. z7 E! o3 h- A6 U1 C9 E+ k* I2 d
图5
/ G# ~+ d; @2 W" X! r, v经过分析上述symbol我觉得下述函数很有作案嫌疑，所以将它们秘密监控J都给设上断点，被怀疑的对象如下图6所示： U; {! T- y$ t5 N$ `% _: _: X; ?
) ?) w/ b0 }# F# A8 H, r% B
# h# g$ W4 ^& M: m* q
图6
0 {, G4 B6 z" I4 j/ j( T6 w6 X2 z如图所示：
) m* a% \, r6 {) ?' c u
/ u: l8 K- K6 r" W2 Z) jwmiacpi!WmiAcpiSetWmiDataItem8 w$ R8 R; F; N6 v7 U
9 y5 F. X0 l I, t6 n( p
wmiacpi!WmiAcpiSetWmiDataBlock8 F8 u# [7 J, _# r, i: t
2 E, o% [) \ }, n3 xwmiacpi!WmiFireEvent
' V: l w) {7 y4 N5 X
; T, Z9 F% l" @- Z; s$ Ywmiacpi!WmiAcpiQueryWmiDataBlock8 r1 J6 P2 j$ ?2 \: _
R/ S6 t) a/ l& E( A; U) I( Gwmiacpi!WmiAcpiSendAsyncDownStreamIrp
) h* Q- O- {+ ^& R* [1 I/ t; C, `+ ]& D0 c0 b. F
wmiacpi!WmiSystemControl
3 W$ z- r0 @( S& b6 N' R* H5 [# m- C# J# J- ^
wmiacpi!WmiAcpiSystemControlDispatch1 M4 e/ _0 e3 D3 @
, S3 N0 t, t; l* R& B. K+ ^ J% K
acpi!ACPIIoctlEvalControlMethod
2 [# u0 l7 V/ ?3 u5 g! V1 |& V& r* y: d; Y/ J# y
acpi!ACPIIoctlAsyncEvalControlMethod$ \, Z8 X: c; w$ Q# q/ H) F4 g
1 S- Z/ E4 F m2 [; }4 l; j
acpi!ACPIIoctlAsyncEvalControlMethodEx
7 d# y! z. ]! s& {! t# i
* W9 a0 P. B2 d) f6 h# xacpi!ACPIIoctlEvalControlMethodEx) Y, t0 F( G& b
& d9 t) A8 R; T/ \" l2 w
acpi!ACPIButtonDeviceControl
0 n9 O- t- n) s' f6 i" c; Q- g& Y B$ U5 H) Z
acpi!ACPIEcInternalControl$ b/ b8 m0 V1 @; v& ^! A$ q
/ P6 Q; \' K0 @. |$ k
acpi!AcpiEmbeddedControllerIrpDispatch
! |& v3 k/ o8 N# x9 o' h; ?% z' X+ E
. w$ n9 L$ r2 J5 |& n W2 @' ?* Z& Jacpi!ACPIIrpDispatchDeviceControl
W- J% i' ]% _# S* |% {
1 T( `: `/ A3 B! w2 z) ?- vacpi!WmiSystemControl
4 Z& q4 q# \' j2 a4 A
" _! G4 L; W8 M6 m/ p. W: Q( {这些函数都被设置的断点，下面就我们读写一个class试试看了，图7证实了我之前的所说绝非空口无凭，我们读AcpiTest_MPackage class时发现先会call wmiacpi!WmiAcpiQueryWmiDataBlock,然后acpi!ACPIIrpDispatch DeviceControl会接手，当然后续还会有别的一些动作，但是上述行为就足以支撑我的论点了J。
9 f: N0 r4 h3 w6 t$ ~. E
' p6 t: m9 C( f; c4 |, w+ v T w) t! j' ]9 v6 C
' K2 R+ Q. A4 D1 ?1 \* X
$ I) P; W- C ~6 p" m3 L% x
图7
1 M w9 p* K6 w" g( ? 图8演示了我们发一个event的状况，图中显示acpi.sys会接到该event然后透过wmiacpi!WmiFireEvent送给上层AP,上层AP再透过IRP下来qurey其它相关的具体信息。8 I) }- v% F. R
8 o# ?. u: X% p' U+ x1 H9 S
9 [+ `" K# q7 t: |! `! g8 S- J9 C1 _5 y$ Q" w) l! @$ Z8 s0 ~
图8 , ]3 ]/ X& u+ \! U
以上就是我费尽九牛二虎之力挖掘的wmiacpi.sys的秘密了，再附上一幅我的debug环境J。
9 Y- w: u1 ^1 a, t. v4 h( @# g# N1 [6 T4 l. v8 Z* z" X
3 z7 s: w9 W/ H* R
{ k% O. y& G5 |; U- s
图9
9 q. T. h# a7 T8 n# @) SThat’s all!
$ ]+ [: W. U! z% L4 `; H2 IPeter 8 b" {; ?0 T. F% ]$ I1 _
' S* H- z: e7 e* P; y
[ 本帖最后由 peterhu 于 2009-5-25 09:31 编辑 ] |
|
IP卡
狗仔卡
发表于 2009-5-22 17:14:23
提升卡
置顶卡
沉默卡
喧嚣卡
变色卡
显身卡
发表于 2009-5-22 20:27:37
今天我再试试也许就出来了